1

古いURLでエラーが発生したため、一部のサイトでXSSが試行されていることに気付きました。すなわち。 http://www.mysite.com/ [古いキーワード]/searchterm。

これらのサイトはMVC3サイトであり、偽造防止トークンの使用についての私の理解から、これはPOSTリクエストにのみ適しています。

一部のリクエストは有効なリクエスト（GoogleCrawlerなど）である可能性があるため、すべてのリクエストをURLに限定したいとは思いません。

このシナリオでXSS攻撃を回避/阻止する方法は何ですか？

問題のあるIPアドレスを取得したら、APPCMDを使用してIISのDENYリストにIPアドレスを追加する方法はありますか？これは、APPCMDを使用してリストに基づいてIISに新しいWebサイトを追加するソリューションと同様です。

いくつかのサイトでクロスサイトスクリプティング攻撃を試みているいくつかのIPアドレスに気付いたので、私は尋ねています。これらのリストを作成し（そしておそらくhttp://www.ipfraudreporter.comのような場所からリストを読み）、これらをサーバーにロードしたいと思います。

4

1 に答える 1

0

XSSのブロックは、ほとんどの場合、入力の問題ではなく、出力のエンコードの問題です。たとえば、英数字のみを許可する場合は、非常に厳密なホワイトリストベースの入力検証を使用して停止できる場合がありますが、ほとんどの場合、特定のコンテキストで出力を正しくエンコードする必要があります。AbrigedOWASPXSS防止に関するチートシートを参照してください。

ipsの禁止に関しては、あなたの環境で何が可能かわかりません。それらをファイアウォールまたはIPに追加するか、禁止されたIPのリストに対する着信要求をブロックするHttpModuleを作成する可能性があります。

于 2012-03-21T05:53:34.543 に答える